Pesquisa aponta cinco estratégias para fortalecer cultura de cibersegurança nas organizações

Trezentos e um profissionais de segurança foram perguntados sobre um problema que assombra as organizações modernas: como fazer com que a cibersegurança deixe de ser responsabilidade de um pequeno grupo de especialistas e se torne parte do DNA da empresa. A pesquisa do Enterprise Strategy Group e da Information Systems Security Association (ISSA) revelou que essa transformação não acontece por acaso. Ela exige mudança deliberada em cinco áreas específicas.

O conceito não é novo, mas sua aplicação é rara. A Agência Europeia para Segurança de Redes e Informação define cultura de cibersegurança como o conjunto de conhecimentos, crenças, atitudes e valores que as pessoas carregam sobre segurança digital — e como isso se manifesta no dia a dia do trabalho. Quando uma organização consegue incorporar essa mentalidade, a segurança deixa de ser um departamento isolado. Desenvolvedores, gerentes de negócios, executivos, todos passam a agir com vigilância constante. O contrário também é verdadeiro: quando as organizações negligenciam essa cultura, delegam tudo ao CISO e sua pequena equipe, e o resultado é negligência dos funcionários, aumento de risco e ataques bem-sucedidos.

Markswell Coelho, coordenador do Instituto Brasileiro de Cibersegurança, reconhece que muitos líderes entendem o problema. "A maioria dos CISOs e gestores com quem falo reconhecem essas questões e estão empenhados em melhorar", diz. Mas ele também deixa claro que não há atalho: cartazes na parede e palestrantes motivacionais não funcionam.

O primeiro passo é integrar segurança desde o início de qualquer novo plano de negócios. Quando uma organização planeja transformação digital, expansão de dispositivos IoT ou mudança de infraestrutura, as equipes de segurança precisam estar na sala desde o primeiro dia. Elas precisam entender quem usará os novos sistemas, onde os dados residirão, que dispositivos estarão envolvidos. Com essa informação, podem construir modelos de ameaça precisos, identificar riscos antes que se materializem e sugerir controles adequados.

O segundo ponto é tornar os gerentes de negócios responsáveis pelo desempenho em segurança. Hoje, eles são avaliados pelo resultado financeiro de suas unidades. Os profissionais entrevistados sugeriram que incentivos ligados a auditorias de segurança, testes de penetração e eficácia de patches poderiam mudar comportamentos. Quando o bônus depende também de segurança, a prioridade muda.

O terceiro elemento é abandonar o treinamento de segurança anual obrigatório — aquele clique-clique-clique para cumprir conformidade. Os profissionais de segurança detestam esse modelo. Eles recomendam treinamento contínuo e interativo: simulações de phishing, aprendizado sob demanda baseado no comportamento real dos usuários. Segurança é manutenção constante, não uma caixa para marcar uma vez por ano.

O quarto ponto é uma mudança de mentalidade: passar de conformidade regulatória para boas práticas de segurança. Muitas organizações acreditam que se passarem na auditoria de conformidade, fizeram tudo. Mas regulações estabelecem um piso, não um teto. Os profissionais sugerem que CISOs enfatizem modelos como threat-informed defense e o framework Mitre ATT&CK, que refletem como ataques realmente funcionam.

Por fim, a quinta recomendação é estabelecer métricas de cibersegurança e oferecer incentivos organizacionais baseados nelas. Segurança de senhas, taxas de cliques em e-mails suspeitos, relatórios de phishing — esses números importam. Quando a organização vincula recompensas a essas métricas, o comportamento muda. A pesquisa sugere que essa abordagem de incentivos contínuos, ligados a desempenho real, é mais eficaz do que qualquer campanha de conscientização isolada.